Openrefine: सभी POST समापन बिंदुओं पर CSRF सुरक्षा जोड़ें

@wetneb मैं वर्तमान AJAX कोड को देखते हुए इस पर आया और सोच रहा हूं कि यह कितनी सुरक्षा प्रदान करता है। एक सामान्य हमले, जैसा कि मैं इसे समझता हूं, में अनधिकृत परिवर्तन करने के लिए उपयोगकर्ता के कुकी आधारित सत्र प्रमाणीकरण का उपयोग करना शामिल होगा, लेकिन OpenRefine उपयोगकर्ता पहले स्थान पर प्रमाणित नहीं होते हैं। इसके अतिरिक्त, चूंकि सीएसआरएफ टोकन गैर-प्रमाणित अंत बिंदु से उत्पन्न वेब पेज से अलग से प्राप्त किया जाता है, एक हमलावर केवल एक टोकन का अनुरोध कर सकता है और फिर अपने जाली अनुरोध में इसका उपयोग कर सकता है।

शायद कुछ ऐसा है जो मुझे यहाँ याद आ रहा है, इसलिए लगा कि मैं पूछूंगा।

ठेठ शोषण इस प्रकार है:

मान लें कि कोई व्यक्ति अपनी मशीन पर http://localhost:3333/ पर OpenRefine चला रहा है।
साथ ही, वे http://maliciouswebsite.com/ । उस वेबसाइट में एक स्क्रिप्ट शामिल है जो OpenRefine में एक POST समापन बिंदु पर एक फॉर्म सबमिट करती है, जैसे http://localhost:3333/command/core/set-preference । यह POST अनुरोध बिना किसी उपयोगकर्ता सहभागिता के ट्रिगर किया जा सकता है (बस एक छिपा हुआ <form> तत्व बनाएं और इसे जावास्क्रिप्ट में सबमिट करें)। विभिन्न डोमेन में फॉर्म जमा करने की अनुमति है, इसलिए अनुरोध ब्राउज़र की नीति द्वारा अवरुद्ध नहीं किया जाएगा। यह हमलावर को इस आदेश के लिए किसी भी OpenRefine वरीयता को चुपचाप संशोधित करने देगा (और निश्चित रूप से आप अन्य आदेशों के साथ डरावना परिदृश्यों के साथ आ सकते हैं)।

अब CSRF सुरक्षा के साथ, हमलावर को पहले OpenRefine से टोकन प्राप्त करने की आवश्यकता है। ऐसा करने के लिए, उन्हें हमारे बैकएंड के लिए एक क्रॉस-डोमेन GET अनुरोध करने की आवश्यकता है और टोकन को पढ़ने के लिए उस अनुरोध का परिणाम देखें। क्रॉस-ऑरिजिनल नीति द्वारा इसकी अनुमति नहीं है।

समझ गया। धन्यवाद! यह CORS टुकड़ा था जो मुझे याद आ रहा था।